JPH11296394A - 二重化情報処理装置 - Google Patents

Abstract

(57)【要約】 【課題】 ハードウェアを二重化した常用冗長コンピュ
ータシステムにおいて、最小限のコスト追加により外乱
要因による過渡フォールトや間欠フォールトへの対策を
提供する。 【解決手段】 第１及び第２の情報処理構成要素１１，
２１の動作又は出力に不一致があり、いずれの情報処理
構成要素にもフォールトの発生が検出されない場合に、
再実行の後、なお、情報処理構成要素どうしの動作又は
出力に不一致があり、いずれの情報処理構成要素にも、
フォールトの発生が検出されないときに、各情報処理構
成要素毎に、出力結果と上記結果記憶手段１３，２３に
記憶された不一致結果とを、それぞれ比較することによ
り、該比較結果に応じてシステムの運用構成を決定する
手段と、を有することを特徴とする二重化情報処理装
置。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ハードウェアを二
重化した常用冗長コンピュータシステムに関する。

【０００２】

【従来の技術】従来の、ハードウェアを二重化した常用
冗長コンピュータシステムについて、図２を参照して説
明する。

【０００３】図２において、同期・比較装置１０２と同
期・比較装置２０２は、互いに協調し合い、情報処理構
成要素１０１と情報処理構成要素２０１の動作を同期さ
せると共に、情報処理構成要素１０１と情報処理構成要
素２０１の動作が一致しているかの比較を行なう。

【０００４】また、入出力構成要素１０４と入出力構成
要素２０４の出力を、同期・比較装置１０２と同期・比
較装置２０２を経由して受け取り、比較の結果が一致し
ていれば、情報処理構成要素１０１と情報処理構成要素
２０１に入力する。

【０００５】さらに、情報処理構成要素１０１と情報処
理構成要素２０１の出力は、比較装置１０３と比較装置
２０３を経由して、比較の結果が一致していれば、入出
力構成要素１０４と入出力構成要素２０４に入力する。

【０００６】もし、情報処理構成要素１０１と情報処理
構成要素２０１の動作の一致、または出力の一致を確認
した際に不一致が検出された場合、情報処理構成要素１
０１と情報処理構成要素２０１のどちらか一方でフォー
ルトの発生が検出されていれば、フォールトの発生した
情報処理構成要素を切り離して、縮退運用を行なう。

【０００７】フォールトの発生が検出されていなけれ
ば、フォールトの発生個所が特定できない致命的な固定
フォールトが発生したと判断して、その時点で運用を停
止するか、情報処理構成要素１０１か情報処理構成要素
２０１のどちらかが正しいと想定し、他方を切り離して
縮退運用を行なう。

【０００８】また、もし入出力構成要素１０４と入出力
構成要素２０４の出力の一致を確認した際に、不一致が
検出された場合、入出力構成要素１０４と入出力構成要
素２０４のどちらか一方でフォールトの発生が検出され
ていれば、フォールトの発生した入出力構成要素を切り
離して縮退運用を行なう。フォールトの発生が検出され
ていなければ、入出力処理の再実行を行なう。

【０００９】最初の再実行で、入出力構成要素１０４と
入出力構成要素２０４の出力の一致が確認されれば、フ
ォールトは外乱要因による過渡的なものと判断し、その
まま処理を継続する。

【００１０】しかし、再度、不一致が検出された場合に
は、フォールトの発生個所が特定できない致命的な固定
フォールトが発生したと判断して、その時点で運用を停
止するか、入出力構成要素１０４か入出力構成要素２０
４のどちらかが正しいと想定し、他方を切り離して縮退
運用を行なう。

【００１１】また、特開平４−７１０３７号公報、及び
特開平４−７１０３８号公報には、２つのＣＰＵの出力
データの各々に不一致があった場合に、リトライ処理を
所定回行なうようにした電子計算機の二重化方式が開示
されている。具体的には、データ再送のリトライ、タス
クレベルでのリトライ、及びＯＳによるテストプログラ
ム実行を逐次行なわせている。

【００１２】また、特開平９−５５７９７号公報には、
障害解析自動診断処理方法として、運用系と待機系とか
らなる二重化装置に関するものが開示され、障害が発生
した１つの装置内において、障害箇所の特定を行なって
いる。

【００１３】

【発明が解決しようとする課題】しかしながら、従来の
ハードウェアを二重化した常用冗長コンピュータシステ
ムにおいては、次のような課題がある。

【００１４】第１の課題は、ハードウェアの二重化以外
の冗長手段を持たない為、フォールトの発生個所が特定
できなければ、外乱要因による過渡フォールトや、ハー
ドウェア故障と外乱要因の複合条件により発生する間欠
フォールトを、無条件に致命的なフォールトとして扱わ
ざるを得ないことである。

【００１５】近年は、半導体の集積度向上、動作電圧の
低下、動作周波数の向上、携帯電話やモバイル機器の普
及など、外乱要因による過渡フォールトや間欠フォール
トの発生する確率が増加してきており、何らかの対策を
講じる必要があった。 第２の課題は、三重化以上のハ
ードウェアで、常用冗長コンピュータシステムを構成す
れば、第１の課題は解決できるものの、どうしても大幅
なコストの上昇が避けられないということである。

【００１６】フォールトの発生個所を特定する技術は、
年々進歩してきており、フォールトの発生個所を特定す
る為だけに高価な三重化以上のハードウェアを装備する
ことは、価格を度外視して信頼性を重視するニッチな用
途向けとなりつつある。

【００１７】また、特開平４−７１０３７号公報、及び
特開平４−７１０３８号公報には、２つのＣＰＵの出力
データの各々に不一致があった場合に、リトライ処理を
所定回行なうようにした電子計算機の二重化方式が開示
されているに過ぎない。

【００１８】また、特開平９−５５７９７号公報には、
障害解析自動診断処理方法として、運用系と待機系とか
らなる二重化装置に関するものが開示され、障害が発生
した１つの装置内において、障害箇所の特定を行なって
いるに過ぎない。

【００１９】［発明の目的］本発明の目的は、ハードウ
ェアを二重化した常用冗長コンピュータシステムにおい
て、最小限のコスト追加により外乱要因による過渡フォ
ールトや間欠フォールトへの対策を提供することにあ
る。

【００２０】

【課題を解決するための手段】本発明は、上記課題を解
決するための手段として、ハードウェアを二重化した常
用冗長コンピュータシステムにおいて、第１及び第２の
情報処理構成要素の動作又は出力に不一致があり、いず
れの情報処理構成要素にもフォールトの発生が検出され
ない場合に、上記不一致が発生した結果を、それぞれ、
対応する情報処理構成要素において記憶しておくための
結果記憶手段と、再実行の後、なお、第１及び第２の情
報処理構成要素の動作又は出力に不一致があり、いずれ
の情報処理構成要素にも、フォールトの発生が検出され
ないときに、各情報処理構成要素毎に、出力結果と上記
結果記憶手段に記憶された不一致結果とを、それぞれ比
較する手段と、該比較結果に応じてシステムの運用構成
を決定する手段と、を有することを特徴とする二重化情
報処理装置を提供するものである。

【００２１】また、ハードウェアを二重化した常用冗長
コンピュータシステムにおいて、第１及び第２の入出力
構成要素の動作又は出力に不一致があり、いずれの入出
力構成要素にもフォールトの発生が検出されない場合
に、上記不一致が発生した結果を、それぞれ、対応する
入出力構成要素において記憶しておくための結果記憶手
段と、再実行の後、なお、第１及び第２の入出力構成要
素の動作又は出力に不一致があり、いずれの入出力構成
要素にも、フォールトの発生が検出されないときに、各
入出力構成要素毎に、出力結果と上記結果記憶手段に記
憶された不一致結果とを、それぞれ比較する手段と、該
比較結果に応じてシステムの運用構成を決定する手段
と、を有することを特徴とする二重化情報処理装置でも
ある。

【００２２】また、上記情報処理構成要素と上記入出力
構成要素との両方を有することを特徴とする二重化情報
処理装置でもある。

【００２３】また、ハードウェアを二重化した常用冗長
コンピュータシステムにおいて、二重化された情報処理
構成要素（１１，２１）を有し、前記情報処理構成要素
（１１，２１）は、それぞれ、該情報処理構成要素（１
１，２１）どうしの動作の一致、または出力の一致を比
較する手段（１４，２４）と、該情報処理構成要素どう
し（１１，２１）の動作の一致、または出力の一致が確
認された状態と、確認される前の状態との差分情報を記
憶しておく差分記憶装置（１２，２２）と、該情報処理
構成要素（１１，２１）の動作結果、又は出力結果を記
憶しておくための結果記憶装置（１３，２３）と、該情
報処理構成要素（１１，２１）どうしの動作の不一致、
または出力の不一致を検出した場合に、前記差分記憶装
置（１２，２２）の情報を元に、それぞれの前記情報処
理構成要素（１１，２１）を、前記不一致が検出される
前の状態に戻し、複数回の再実行を行なう手段と、それ
ぞれの前記情報処理構成要素（１１，２１）内におい
て、前記再実行後の結果と再実行前の結果とを比較する
手段と、該比較結果に応じてシステムの運用構成を決定
する手段と、を有することを特徴とする二重化情報処理
装置でもある。

【００２４】また、前記比較結果に応じてシステムの運
用構成を決定する手段は、前記比較の結果、前記情報処
理構成要素（１１，２１）どうしの動作の不一致、また
は出力の不一致を検出した場合に、それぞれの該情報処
理構成要素（１１，２１）のどちらか一方でフォールト
の発生が検出されていれば、フォールトの発生した情報
処理要素を切り離して縮退運用を行ない、フォールトの
発生が検出されていなければ、それぞれの前記結果記憶
装置（１３，２３）に、それぞれの情報処理構成要素
（１１，２１）の状態を記憶した後、それぞれの差分記
憶装置（１２，２２）の情報を元に、前記不一致が検出
される前の状態に戻し、複数回の再実行を行なう手段
と、最初の再実行で、前記情報処理構成要素（１１，２
１）どうしの動作の一致、または出力の一致が確認され
れば、フォールトは、外乱要因による過渡的なものと判
断し、そのまま処理を継続し、最初の再実行で、再度、
不一致が検出された場合には、それぞれの情報処理構成
要素（１１，２１）の出力結果と、それぞれの結果記憶
装置（１３，２３）に記憶されていた出力結果との比較
を行なう手段と、該比較の結果、それぞれの前記情報処
理構成要素（１１，２１）の一方が一致して、他方が一
致していなければ、一致していない方の情報処理構成要
素を切り離して縮退運用を行ない、両方とも不一致であ
れば、二重の固定的または間欠的なフォールトが発生し
たと判断し、その時点で運用を停止し、両方とも一致し
ていれば、指定された回数だけ再実行を繰り返し、全て
の再実行において、該情報処理構成要素（１１，２１）
どうしの出力結果に不一致があり、かつ、該出力結果
が、それぞれの結果記憶装置（１３，２３）に記憶され
た結果と一致していれば、フォールトの発生個所が特定
できない致命的な固定フォールトが発生したと判断し、
その時点で運用を停止する手段と、を有することを特徴
とする二重化情報処理装置でもある。

【００２５】更にまた、ハードウェアを二重化した常用
冗長コンピュータシステムにおいて、二重化された入出
力構成要素（１６，２６）を有し、それぞれの前記入出
力構成要素（１６，２６）どうしの出力の一致を比較す
る手段（１５，２５）と、該入出力構成要素（１６，２
６）の出力結果を記憶しておくための結果記憶装置（３
１，４１）と、前記比較結果に応じてシステムの運用構
成を決定する手段と、を有することを特徴とする二重化
情報処理装置でもある。

【００２６】また、前記比較結果に応じてシステムの運
用構成を決定する手段は、前記比較の結果、入出力構成
要素（１６，２６）の出力の不一致が検出された場合、
入出力構成要素（１６，２６）のどちらか一方でフォー
ルトの発生が検出されていれば、フォールトの発生した
入出力構成要素を切り離して縮退運用を行ない、フォー
ルトの発生が検出されていなければ、それぞれの前記結
果記憶装置（３１，４１）に、入出力構成要素（１６，
２６）の出力を記憶した後、入出力処理の複数回の再実
行を行ない、最初の再実行で、入出力構成要素（１６，
２６）の出力の一致が確認されれば、フォールトは、過
渡的なものと判断し、そのまま処理を継続し、再度、不
一致が検出された場合には、それぞれの入出力構成要素
（１６）の出力結果と結果記憶装置（３１）に記憶して
おいた結果とで、比較を行ない、入出力構成要素（１
６，２６）の一方が一致して、他方が一致していなけれ
ば、一致していない方の入出力構成要素を切り離して縮
退運用を行ない、両方とも不一致であれば、原理的に二
重化常用冗長コンピュータシステムでは対処できない二
重の固定的または間欠的なフォールトが発生したと判断
し、その時点で運用を停止し、両方とも一致していれ
ば、指定された回数だけ再実行を繰り返し、全ての再実
行において、入出力構成要素どうしに不一致があり、か
つ結果記憶装置とも一致していれば、フォールトの発生
個所が特定できない致命的な固定フォールトが発生した
と判断し、その時点で運用を停止する手段と、を有する
ことを特徴とする二重化情報処理装置でもある。

【００２７】また、前記フォールトの発生箇所が特定で
きない場合に限り、前記再実行を行なう、ことを特徴と
した二重化情報処理装置でもある。

【００２８】［作用］本発明によれば、ハードウェアを
二重化した常用冗長コンピュータシステムにおいて、情
報処理構成要素または入出力構成要素のどちらか、もし
くは両方に複数回の再実行と再実行前の結果との比較を
可能とする構成を装備し、フォールトの発生個所が特定
できない出力の不一致が生じた場合、複数回の再実行(
時間冗長) を行なうことにより、フォールトの発生個所
を特定可能とし、より高い信頼性のコンピュータシステ
ムを実現することができる。

【００２９】すなわち、本発明では、差分記憶装置１２
と差分記憶装置２２、結果記憶装置１３と結果記憶装置
２３により、情報処理構成要素１１と情報処理構成要素
２１に不一致が発生した場合の再実行後の結果と、再実
行前の結果との比較を可能としている。

【００３０】また、結果記憶装置３１と結果記憶装置４
１により、入出力構成要素１６と入出力構成要素２６に
不一致が発生して再実行を行なった場合、再実行後の結
果と再実行前の結果との比較を可能としている。

【００３１】この再実行と再実行前の結果との比較を可
能とすることにより、従来のハードウェアを二重化した
常用冗長コンピュータシステムでは対処できなかった、
フォールト発生個所の特定できない外乱要因による過渡
フォールト、及びハードウェア故障と外乱要因の複合条
件により発生する間欠フォールトの一部についても対応
可能となり、より信頼性の高いコンピュータシステムを
実現することができる。

【００３２】また、フォールトの発生個所が特定できな
い場合に、複数回の再実行( 時間冗長) を行なうこと
で、外乱要因による過渡フォールトについては、ほとん
どの場合において、フォールトの発生個所を特定するこ
とが可能となり、縮退による継続運用が可能となる。

【００３３】また、ハードウェア故障と外乱要因の複合
条件により発生する間欠フォールトについても、発生個
所を特定できるケースがあり、信頼性の向上に大きく貢
献する。

【００３４】また、フォールトの発生個所が特定できな
い場合に限り、再実行( 時間冗長)を行なう為、三重化
以上のハードウェア冗長を行なう場合と比較して、明ら
かに製造コストを低く押さえることが可能となる。

【００３５】また、再実行（時間冗長）による性能低下
も、必要最小限に押さえることができる。

【００３６】

【発明の実施の形態】図１は、本発明の構成を示す模式
的構成図である。

【００３７】図１において、同期・比較装置１４と同期
・比較装置２４は、互いに協調し合い、情報処理構成要
素１１と情報処理構成要素２１の動作を同期させると共
に、情報処理構成要素１１と情報処理構成要素２１の動
作が一致しているかの比較を行なう。

【００３８】また、入出力構成要素１６と入出力構成要
素２６の出力は、同期・比較装置１４と同期・比較装置
２４を経由して、比較の結果が一致していれば、情報処
理構成要素１１と情報処理構成要素２１に入力する。

【００３９】さらに、情報処理構成要素１１と情報処理
構成要素２１の出力は、比較装置１５と比較装置２５を
経由して、比較の結果が一致していれば、入出力構成要
素１６と入出力構成要素２６に入力する。

【００４０】差分記憶装置１２と差分記憶装置２２は、
それぞれ情報処理構成要素１１と情報処理構成要素２１
の動作の一致、または出力の一致が確認された状態と、
確認される前の状態との差分情報を記憶している。

【００４１】もし、情報処理構成要素１１と情報処理構
成要素２１の動作の一致、または出力の一致を検証した
際に、不一致が検出された場合、情報処理構成要素１１
と情報処理構成要素２１のどちらか一方でフォールトの
発生が検出されていれば、フォールトの発生した情報処
理要素を切り離して縮退運用を行なう。

【００４２】フォールトの発生が検出されていなけれ
ば、結果記憶装置１３と結果記憶装置２３に情報処理構
成要素１１と情報処理構成要素２１の状態を記憶した
後、差分記憶装置１２と差分記憶装置２２の情報を元
に、情報処理構成要素１１と情報処理構成要素２１を動
作の一致、または出力の一致が確認される前の状態に戻
し、複数回の再実行を行なう。

【００４３】最初の再実行で、情報処理構成要素１１と
情報処理構成要素２１の動作の一致、または出力の一致
が確認されれば、フォールトは外乱要因による過渡的な
ものと判断し、そのまま処理を継続する。

【００４４】しかし、再度、不一致が検出された場合に
は、それぞれ、情報処理構成要素１１と結果記憶装置１
３、情報処理構成要素２１と結果記憶装置２３で比較を
行ない、情報処理構成要素１１と情報処理構成要素２１
の一方が一致して、他方が一致していなければ、一致し
ていない方の情報処理構成要素を切り離して縮退運用を
行なう。

【００４５】両方とも不一致であれば、二重の固定的ま
たは間欠的なフォールトが発生したと判断し、その時点
で運用を停止する。

【００４６】両方とも一致していれば、指定された回数
だけ再実行を繰り返し、全ての再実行において、情報処
理構成要素１１と情報処理構成要素２１に不一致があ
り、かつ結果記憶装置とも一致していれば、フォールト
の発生個所が特定できない致命的な固定フォールトが発
生したと判断し、その時点で運用を停止する。 また、
もし入出力構成要素１６と入出力構成要素２６の出力の
一致を検証した際に、不一致が検出された場合、入出力
構成要素１６と入出力構成要素のどちらか一方でフォー
ルトの発生が検出されていれば、フォールトの発生した
入出力構成要素を切り離して縮退運用を行なう。

【００４７】フォールトの発生が検出されていなけれ
ば、結果記憶装置３１と結果記憶装置４１に、入出力構
成要素１６と入出力構成要素２６の状態を記憶した後、
入出力処理の複数回の再実行を行なう。

【００４８】最初の再実行で、入出力構成要素１６と入
出力構成要素２６の出力の一致が確認されれば、フォー
ルトは外乱要因による過渡的なものと判断し、そのまま
処理を継続する。

【００４９】しかし、再度、不一致が検出された場合に
は、それぞれ、入出力構成要素１６と結果記憶装置３
１、入出力構成要素２６と結果記憶装置４１で比較を行
ない、入出力構成要素１６と入出力構成要素２６の一方
が一致して、他方が一致していなければ、一致していな
い方の入出力構成要素を切り離して縮退運用を行なう。

【００５０】両方とも不一致であれば、二重の固定的ま
たは間欠的なフォールトが発生したと判断し、その時点
で運用を停止する。

【００５１】両方とも一致していれば、指定された回数
だけ再実行を繰り返し、全ての再実行において、入出力
構成要素１６と入出力構成要素２６に不一致があり、か
つ結果記憶装置とも一致していれば、フォールトの発生
個所が特定できない致命的な固定フォールトが発生した
と判断し、その時点で運用を停止する。

【００５２】このようにして、本願発明では、差分記憶
装置１２と差分記憶装置２２、結果記憶装置１３と結果
記憶装置２３により、情報処理構成要素１１と情報処理
構成要素２１に不一致が発生した場合の再実行後の結果
と、再実行前の結果との比較を可能としている。

【００５３】また、結果記憶装置３１と結果記憶装置４
１により、入出力構成要素１６と入出力構成要素２６に
不一致が発生して再実行を行なった場合、再実行後の結
果と再実行前の結果との比較を可能としている。

【００５４】この再実行と再実行前の結果との比較を可
能とすることにより、従来のハードウェアを二重化した
常用冗長コンピュータシステムでは対処できなかった、
フォールト発生個所の特定できない外乱要因による過渡
フォールト、及びハードウェア故障と外乱要因の複合条
件により発生する間欠フォールトの一部についても対応
可能となり、より信頼性の高いコンピュータシステムを
実現することができる。

【００５５】

【実施例】以下、本発明の実施例について説明する。

【００５６】［構成の説明］図３を参照すると、本発明
の一実施例としての二重化常用冗長コンピュータシステ
ムが示されている。

【００５７】図３において、同期・比較装置１４と同期
・比較装置２４は、互いに協調し合い、複数のCPU とメ
モリにて構成される情報処理構成要素１１と情報処理構
成要素２１の動作を、システムクロックまたは入出力割
込みや、タイマー割込み、ソフトウェアのブレークポイ
ントなどにより同期させると共に、情報処理構成要素１
１と情報処理構成要素２１の動作が一致しているかの比
較を行なう。

【００５８】また、ディスクやネットワークなどで構成
される入出力構成要素１６と入出力構成要素２６の出力
は、同期・比較装置１４と同期・比較装置２４を経由し
て受け取られ、比較の結果が一致していれば、情報処理
構成要素１１と情報処理構成要素２１に入力する。

【００５９】さらに、情報処理構成要素１１と情報処理
構成要素２１の出力は、比較装置１５と比較装置２５を
経由して、比較の結果が一致していれば、入出力構成要
素１６と入出力構成要素２６に入力する。

【００６０】差分記憶装置１２と差分記憶装置２２は、
それぞれ情報処理構成要素１１と情報処理構成要素２１
の動作の一致、または出力の一致が確認された状態と、
確認される前の状態との差分情報を記憶している。

【００６１】もし、情報処理構成要素１１と情報処理構
成要素２１の動作の一致、または、出力の一致を検証し
た際に、不一致が検出された場合、情報処理構成要素１
１と情報処理構成要素２１のどちらか一方でフォールト
の発生が検出されていれば、フォールトの発生した情報
処理構成要素を切り離して縮退運用を行なう。

【００６２】フォールトの発生が検出されていなけれ
ば、結果記憶装置１３と結果記憶装置２３に情報処理構
成要素１１と情報処理構成要素２１の状態を記憶した
後、差分記憶装置１２と差分記憶装置２２の情報を元
に、情報処理構成要素１１と情報処理構成要素２１を、
動作の一致、または出力の一致が確認される前の状態に
戻し、複数回の再実行を行なう。

【００６３】最初の再実行で、情報処理構成要素１１と
情報処理構成要素２１の動作の一致、または出力の一致
が確認されれば、フォールトは、放射線や電磁ノイズな
どの外乱要因による過渡的なものと判断し、そのまま処
理を継続する。

【００６４】しかし、再度、不一致が検出された場合に
は、それぞれ、情報処理構成要素１１の出力結果と結果
記憶装置１３に記憶されている結果、情報処理構成要素
２１の出力結果と結果記憶装置２３に記憶されている結
果とで比較を行ない、情報処理構成要素１１と情報処理
構成要素２１の一方が一致して、他方が一致していなけ
れば、一致していない方の情報処理構成要素を切り離し
て縮退運用を行なう。

【００６５】両方とも不一致であれば、原理的に二重化
常用冗長コンピュータシステムでは対処できない二重の
固定的または間欠的なフォールトが発生したと判断し、
その時点で運用を停止する。

【００６６】両方とも一致していれば、指定された回数
だけ再実行を繰り返し、全ての再実行において、情報処
理構成要素１１と情報処理構成要素２１に不一致があ
り、かつ結果記憶装置とも一致していれば、フォールト
の発生個所が特定できない致命的な固定フォールトが発
生したと判断し、その時点で運用を停止する。 切り離
された情報処理構成要素１１または情報処理構成要素２
１は、診断および修理を行って正常であることを確認し
た後、システムに組み込まれる。この際には、正常動作
している情報処理構成要素１１または情報処理構成要素
２１の状態を、組み込まれた情報処理構成要素１１また
は情報処理構成要素２１にコピーした後、再度、同期・
比較装置１４と同期・比較装置２４の動作を同期させ、
冗長化された正常運用状態に移行する。

【００６７】また、もし、入出力構成要素１６と入出力
構成要素２６の出力の一致を検証した際に、不一致が検
出された場合、入出力構成要素１６と入出力構成要素２
６のどちらか一方でフォールトの発生が検出されていれ
ば、フォールトの発生した入出力構成要素を切り離して
縮退運用を行なう。

【００６８】フォールトの発生が検出されていなけれ
ば、結果記憶装置３１と結果記憶装置４１に入出力構成
要素１６と入出力構成要素２６の状態を記憶した後、入
出力処理の複数回の再実行を行なう。

【００６９】最初の再実行で、入出力構成要素１６と入
出力構成要素２６の出力の一致が確認されれば、フォー
ルトは、放射線や電磁ノイズなどの外乱要因による過渡
的なものと判断し、そのまま処理を継続する。

【００７０】しかし、再度、不一致が検出された場合に
は、それぞれ、入出力構成要素１６と結果記憶装置３
１、入出力構成要素２６と結果記憶装置４１で比較を行
ない、入出力構成要素１６と入出力構成要素２６の一方
が一致して、他方が一致していなければ、一致していな
い方の入出力構成要素を切り離して縮退運用を行なう。

【００７１】両方とも不一致であれば、原理的に二重化
常用冗長コンピュータシステムでは対処できない二重の
固定的または間欠的なフォールトが発生したと判断し、
その時点で運用を停止する。

【００７２】両方とも一致していれば、指定された回数
だけ再実行を繰り返し、全ての再実行において入出力構
成要素１６と入出力構成要素２６に不一致があり、か
つ、それぞれの結果記憶装置３１，４１とも一致してい
れば、フォールトの発生個所が特定できない致命的な固
定フォールトが発生したと判断し、その時点で運用を停
止する。

【００７３】切り離された入出力構成要素１６と入出力
構成要素２６は、診断および修理を行って正常であるこ
とを確認した後、システムに組み込まれる。この際に
は、正常動作している入出力構成要素１６と入出力構成
要素２６の状態や、ディスクのデータを、プライベート
LANなどを介して組み込まれた情報処理構成要素１１ま
たは情報処理構成要素２１にコピーすることで、冗長化
された正常運用状態に移行する。

【００７４】［動作の説明］次に、図３の二重化常用冗
長コンピュータシステムの動作を、図４、図５に示すフ
ローチャートを使用して説明する。

【００７５】図４において、通常実行を行なうと共に、
差分記憶装置に前回の同期処理の時点からの差分情報を
記憶する。

【００７６】次に同期処理を行ない、情報処理構成要素
１１，２１の動作の一致、または出力の一致を検証す
る。

【００７７】一致を確認した場合、引続き、通常実行を
行なう。不一致を確認した場合、次に、情報処理構成要
素１１，２１のフォールト発生有無を検証し、一方の情
報処理構成要素でフォールト発生を検出した場合、該当
する情報処理構成要素を切り離して縮退運転に入る。

【００７８】フォールトが発生していないことを確認し
た場合、結果記憶装置１３，２３に不一致が発生してい
る結果を記憶し、再実行回数カウンタ１７，２７を０か
ら１に変更する。

【００７９】次に、差分記憶装置のデータを元に、情報
処理構成要素１１，２１を前回の同期処理の時点の状態
に戻し、再実行回数カウンタが、規定数( この場合は２
とする) を超えていないことを確認後、図５のにある
通り、再実行を行なう。

【００８０】次に、同期処理を行ない、情報処理構成要
素１１，２１の動作の一致、または出力の一致を検証す
る。一致を確認した場合、再実行回数カウンタの値を０
にして、図４のにある通り、通常実行に戻る。

【００８１】不一致を確認した場合、次に、情報処理構
成要素１１，２１のフォールト発生有無を検証し、一方
の情報処理構成要素でフォールト発生を検出した場合、
該当する情報処理構成要素を切り離して縮退運転に入
る。

【００８２】フォールトが発生していないことを確認し
た場合、情報処理構成要素１１の出力結果と結果記憶装
置１３に記憶していた結果、情報処理構成要素２１の出
力結果と結果記憶装置２３に記憶していた結果につい
て、動作の一致、または出力の一致を検証し、一方の情
報処理構成要素で結果記憶装置との不一致を検出した場
合、該当する情報処理構成要素を切り離して縮退運転に
入る。一致を確認した場合、再実行回数カウンタ１７，
２７を１から２に変更する。

【００８３】次に、差分記憶装置のデータを元に、情報
処理構成要素１１，２１を前回の同期処理の時点の状態
に戻し、再実行回数カウンタが、規定数( この場合は２
とする) に達したことを確認後、運用を停止する。

【００８４】入出力構成要素１６，２６についても、基
本動作は上記の情報処理構成要素１１，２１と同様であ
るが、同期処理は行わず、一定時間待ち合わせた後に出
力の一致を検証する。

【００８５】一致を確認した場合、引続き、通常実行を
行なう。不一致を確認した場合、次に、入出力構成要素
１６，２６のフォールト発生有無を検証し、一方の入出
力構成要素でフォールト発生を検出した場合、該当する
入出力構成要素を切り離して縮退運転に入る。一定時間
待ち合わせて出力が無い場合にもフォールト発生とみな
す。

【００８６】フォールトが発生していないことを確認し
た場合、結果記憶装置３１，４１に不一致が発生してい
る結果を記憶し、再実行回数カウンタ３２，４２を０か
ら１に変更する。

【００８７】次に、再実行回数カウンタが、規定数( こ
の場合は２とする) を超えていないことを確認後、入出
力処理の再実行を行なう。

【００８８】次に、一定時間待ち合わせた後に入出力構
成要素１６，２６の出力の一致を検証する。一致を確認
した場合、再実行回数カウンタの値を０にして、通常実
行に戻る。

【００８９】不一致を確認した場合、次に、入出力構成
要素１６，２６のフォールト発生有無を検証し、一方の
入出力構成要素でフォールト発生を検出した場合、該当
する入出力構成要素を切り離して縮退運転に入る。

【００９０】フォールトが発生していないことを確認し
た場合、入出力構成要素１６の出力結果と結果記憶装置
３１に記憶していた結果、入出力構成要素２６の出力結
果と結果記憶装置４１に記憶していた結果について、出
力の一致を検証し、一方の入出力構成要素で結果記憶装
置との不一致を検出した場合、該当する入出力構成要素
を切り離して縮退運転に入る。一致を確認した場合、再
実行回数カウンタ３２，４２を１から２に変更する。

【００９１】次に、入出力処理の再実行を行い、再実行
回数カウンタが、規定数( この場合は２とする) に達し
たことを確認後、運用を停止する。

【００９２】

【発明の効果】以上説明したように、本発明において
は、以下に記載するような効果を奏する。

【００９３】第１の効果は、従来のハードウェアを二重
化した常用冗長コンピュータシステムと比較して、フォ
ールトの発生個所が特定できない場合に、複数回の再実
行(時間冗長) を行なうことで、外乱要因による過渡フ
ォールトについては、ほとんどの場合において、フォー
ルトの発生個所を特定することが可能となり、縮退によ
る継続運用が可能となる。

【００９４】また、ハードウェア故障と外乱要因の複合
条件により発生する間欠フォールトについても、発生個
所を特定できるケースがあり、信頼性の向上に大きく貢
献することである。

【００９５】第２の効果は、ハードウェアを二重化した
常用冗長コンピュータシステムにおいて、フォールトの
発生個所が特定できない場合に限り、再実行( 時間冗
長) を行なう為、三重化以上のハードウェア冗長を行な
う場合と比較して、明らかに製造コストを低く押さえる
ことが可能となる。

【００９６】また、再実行（時間冗長）による性能低下
も、必要最小限に押さえることができる。

【図面の簡単な説明】

【図１】本発明の実施例の構成を示す模式的構成図であ
る。

【図２】従来例の構成を示す模式的構成図である。

【図３】本発明の実施例の構成を示す模式的構成図であ
る。

【図４】本発明の実施例の動作を示すフローチャートで
ある。

【図５】本発明の実施例の動作を示すフローチャートで
ある。

【符号の説明】

１１，２１ 情報処理構成要素 １２，２２ 差分記憶装置 １３，２３ 結果記憶装置 １４，２４ 同期・比較装置 １５，２５ 比較装置 １６，２６ 入出力構成要素 １７，２７，３２，４２ 再実行回数カウンタ ３１，４１ 結果記憶装置

Claims (8)

【特許請求の範囲】
1. 【請求項１】 ハードウェアを二重化した常用冗長コン
   ピュータシステムにおいて、 第１及び第２の情報処理構成要素の動作又は出力に不一
   致があり、いずれの情報処理構成要素にもフォールトの
   発生が検出されない場合に、 上記不一致が発生した結果を、それぞれ、対応する情報
   処理構成要素において記憶しておくための結果記憶手段
   と、 再実行の後、なお、第１及び第２の情報処理構成要素の
   動作又は出力に不一致があり、いずれの情報処理構成要
   素にも、フォールトの発生が検出されないときに、各情
   報処理構成要素毎に、出力結果と上記結果記憶手段に記
   憶された不一致結果とを、それぞれ比較する手段と、 該比較結果に応じてシステムの運用構成を決定する手段
   と、を有することを特徴とする二重化情報処理装置。
2. 【請求項２】 ハードウェアを二重化した常用冗長コン
   ピュータシステムにおいて、 第１及び第２の入出力構成要素の動作又は出力に不一致
   があり、いずれの入出力構成要素にもフォールトの発生
   が検出されない場合に、 上記不一致が発生した結果を、それぞれ、対応する入出
   力構成要素において記憶しておくための結果記憶手段
   と、 再実行の後、なお、第１及び第２の入出力構成要素の動
   作又は出力に不一致があり、いずれの入出力構成要素に
   も、フォールトの発生が検出されないときに、各入出力
   構成要素毎に、出力結果と上記結果記憶手段に記憶され
   た不一致結果とを、それぞれ比較する手段と、 該比較結果に応じてシステムの運用構成を決定する手段
   と、を有することを特徴とする二重化情報処理装置。
3. 【請求項３】 請求項２記載の入出力構成要素を有する
   ことを特徴とする請求項１記載の二重化情報処理装置。
4. 【請求項４】 ハードウェアを二重化した常用冗長コン
   ピュータシステムにおいて、 二重化された情報処理構成要素（１１，２１）を有し、 前記情報処理構成要素（１１，２１）は、それぞれ、該
   情報処理構成要素（１１，２１）どうしの動作の一致、
   または出力の一致を比較する手段（１４，２４）と、 該情報処理構成要素どうし（１１，２１）の動作の一
   致、または出力の一致が確認された状態と、確認される
   前の状態との差分情報を記憶しておく差分記憶装置（１
   ２，２２）と、 該情報処理構成要素（１１，２１）の動作結果、又は出
   力結果を記憶しておくための結果記憶装置（１３，２
   ３）と、 該情報処理構成要素（１１，２１）どうしの動作の不一
   致、または出力の不一致を検出した場合に、 前記差分記憶装置（１２，２２）の情報を元に、それぞ
   れの前記情報処理構成要素（１１，２１）を、前記不一
   致が検出される前の状態に戻し、複数回の再実行を行な
   う手段と、 それぞれの前記情報処理構成要素（１１，２１）内にお
   いて、前記再実行後の結果と再実行前の結果とを比較す
   る手段と、 該比較結果に応じてシステムの運用構成を決定する手段
   と、を有することを特徴とする請求項１記載の二重化情
   報処理装置。
5. 【請求項５】 前記比較結果に応じてシステムの運用構
   成を決定する手段は、 前記比較の結果、前記情報処理構成要素（１１，２１）
   どうしの動作の不一致、または出力の不一致を検出した
   場合に、 それぞれの該情報処理構成要素（１１，２１）のどちら
   か一方でフォールトの発生が検出されていれば、フォー
   ルトの発生した情報処理要素を切り離して縮退運用を行
   ない、 フォールトの発生が検出されていなければ、それぞれの
   前記結果記憶装置（１３，２３）に、それぞれの情報処
   理構成要素（１１，２１）の状態を記憶した後、それぞ
   れの差分記憶装置（１２，２２）の情報を元に、前記不
   一致が検出される前の状態に戻し、複数回の再実行を行
   なう手段と、 最初の再実行で、前記情報処理構成要素（１１，２１）
   どうしの動作の一致、または出力の一致が確認されれ
   ば、フォールトは、外乱要因による過渡的なものと判断
   し、そのまま処理を継続し、 最初の再実行で、再度、不一致が検出された場合には、
   それぞれの情報処理構成要素（１１，２１）の出力結果
   と、それぞれの結果記憶装置（１３，２３）に記憶され
   ていた出力結果との比較を行なう手段と、 該比較の結果、それぞれの前記情報処理構成要素（１
   １，２１）の一方が一致して、他方が一致していなけれ
   ば、一致していない方の情報処理構成要素を切り離して
   縮退運用を行ない、 両方とも不一致であれば、二重の固定的または間欠的な
   フォールトが発生したと判断し、その時点で運用を停止
   し、 両方とも一致していれば、指定された回数だけ再実行を
   繰り返し、全ての再実行において、該情報処理構成要素
   （１１，２１）どうしの出力結果に不一致があり、か
   つ、該出力結果が、それぞれの結果記憶装置（１３，２
   ３）に記憶された結果と一致していれば、フォールトの
   発生個所が特定できない致命的な固定フォールトが発生
   したと判断し、その時点で運用を停止する手段と、を有
   することを特徴とする請求項４記載の二重化情報処理装
   置。
6. 【請求項６】 ハードウェアを二重化した常用冗長コン
   ピュータシステムにおいて、 二重化された入出力構成要素（１６，２６）を有し、 それぞれの前記入出力構成要素（１６，２６）どうしの
   出力の一致を比較する手段（１５，２５）と、 該入出力構成要素（１６，２６）の出力結果を記憶して
   おくための結果記憶装置（３１，４１）と、 前記比較結果に応じてシステムの運用構成を決定する手
   段と、を有することを特徴とする請求項２記載の二重化
   情報処理装置。
7. 【請求項７】 前記比較結果に応じてシステムの運用構
   成を決定する手段は、 前記比較の結果、入出力構成要素（１６，２６）の出力
   の不一致が検出された場合、入出力構成要素（１６，２
   ６）のどちらか一方でフォールトの発生が検出されてい
   れば、フォールトの発生した入出力構成要素を切り離し
   て縮退運用を行ない、 フォールトの発生が検出されていなければ、それぞれの
   前記結果記憶装置（３１，４１）に、入出力構成要素
   （１６，２６）の出力を記憶した後、入出力処理の複数
   回の再実行を行ない、 最初の再実行で、入出力構成要素（１６，２６）の出力
   の一致が確認されれば、フォールトは、過渡的なものと
   判断し、そのまま処理を継続し、 再度、不一致が検出された場合には、それぞれの入出力
   構成要素（１６）の出力結果と結果記憶装置（３１）に
   記憶しておいた結果とで、比較を行ない、入出力構成要
   素（１６，２６）の一方が一致して、他方が一致してい
   なければ、一致していない方の入出力構成要素を切り離
   して縮退運用を行ない、 両方とも不一致であれば、原理的に二重化常用冗長コン
   ピュータシステムでは対処できない二重の固定的または
   間欠的なフォールトが発生したと判断し、その時点で運
   用を停止し、 両方とも一致していれば、指定された回数だけ再実行を
   繰り返し、全ての再実行において、入出力構成要素どう
   しに不一致があり、かつ結果記憶装置とも一致していれ
   ば、フォールトの発生個所が特定できない致命的な固定
   フォールトが発生したと判断し、その時点で運用を停止
   する手段と、を有することを特徴とする請求項６記載の
   二重化情報処理装置。
8. 【請求項８】 前記フォールトの発生箇所が特定できな
   い場合に限り、前記再実行を行なう、ことを特徴とした
   請求項１〜７のいずれかに記載の二重化情報処理装置。